Check Point® Software Technologies Ltd., pionero y líder global en soluciones de ciberseguridad, ha identificado a través de sus investigadores de Check Point Exposure Management una infraestructura de phishing que oculta páginas fraudulentas tras dominios aparentemente inactivos. Aunque la dirección principal muestre una pantalla en blanco o un mensaje de “Página no encontrada”, el contenido malicioso puede seguir accesible a través de rutas específicas y bajo determinadas condiciones.

La investigación partió de un pequeño conjunto de URL fraudulentas conocidas. Los investigadores identificaron patrones técnicos comunes que permitieron vincular miles de dominios dirigidos a organizaciones y usuarios de distintas regiones. La infraestructura utiliza rutas regionales, diferentes idiomas, controles de sesión y acceso mediante tokens para adaptar las campañas a cada mercado y determinar cuándo se muestra el contenido fraudulento.

Una página de error puede ocultar una campaña activa

Esta técnica plantea un problema para los equipos de seguridad. Las direcciones completas de las páginas fraudulentas pueden distribuirse mediante mensajes de texto, correos electrónicos, WhatsApp y otros canales privados. Si el análisis se limita al dominio principal y no dispone de la dirección completa, puede resultar difícil determinar si existe una página de phishing activa.

Una combinación poco habitual de tecnologías de servidor, entre ellas GoFrame HTTP Server y Caddy, junto con las características de las respuestas y otros patrones de comportamiento recurrentes, permitió establecer una huella técnica para localizar infraestructuras relacionadas. Este procedimiento redujo aproximadamente 19.000 resultados iniciales a 322 direcciones IP candidatas. A partir de esa selección, los investigadores pudieron relacionar la infraestructura con miles de dominios asociados a las campañas.

Las dimensiones del conjunto también variaban con el tiempo. En una recopilación de datos realizada durante septiembre, los investigadores identificaron 10.187 dominios asociados a la infraestructura, de los cuales el 90 % pertenecía a la categoría de mayor actividad maliciosa. Una captura posterior recogió 5.785 dominios, lo que pone de manifiesto la elevada variabilidad de la infraestructura entre las distintas recopilaciones.

Una misma infraestructura para campañas adaptadas a cada país

El análisis de 500 dominios permitió identificar campañas dirigidas a diferentes regiones y sectores. En el sudeste asiático predominaban las suplantaciones de bancos, entidades financieras y programas de recompensas; en Europa, las relacionadas con transporte, aparcamientos, impuestos, Administración pública y entrega de paquetes. En América Latina se detectaron suplantaciones de entidades financieras, organismos públicos, servicios postales y programas de ayudas sociales. También se observaron campañas dirigidas a usuarios de Israel, Australia, África y Asia.

Pese a las diferencias de marcas, idiomas y sectores, las campañas compartían estructuras de API, esquemas de configuración y mecanismos de adaptación lingüística. Estas similitudes apuntan al uso de un conjunto de herramientas compartido o una plataforma reutilizable que permite desplegar campañas localizadas sin desarrollar una infraestructura completamente nueva para cada región.

Uno de los casos estudiados afectaba a un dominio relacionado con un programa de recompensas dirigido a clientes de un grupo financiero de Centroamérica. Tanto el dominio principal como una de sus rutas regionales mostraban un mensaje de «Página no encontrada». Sin embargo, al acceder a «/pa», aparecía una pantalla de verificación personalizada. El proceso generaba un identificador de sesión o token antes de redirigir al visitante al contenido fraudulento.

La plataforma admitía numerosos idiomas, entre ellos español, inglés, francés, alemán, portugués, árabe, hebreo, japonés, coreano, hindi, ruso y chino. Los investigadores encontraron estructuras de API y configuraciones equivalentes en distintas campañas, aunque podían variar la marca suplantada, el idioma, la moneda y los catálogos de recompensas.

Cómo detectar la infraestructura que se esconde tras el dominio

Los dominios y sus asociaciones con direcciones IP cambiaron significativamente entre las distintas recopilaciones, lo que reduce la utilidad de los indicadores individuales a largo plazo. Por ello, los investigadores recomiendan analizar los patrones técnicos y de comportamiento que se repiten, en lugar de depender únicamente de dominios concretos.

Entre los indicadores útiles figuran las rutas regionales ocultas, el acceso mediante tokens, las rutas de API aleatorias, los esquemas de configuración reutilizables, los mecanismos de adaptación lingüística y los procesos controlados por sesión. Una respuesta genérica de «Página no encontrada» tampoco debe considerarse suficiente para descartar una amenaza cuando existen otros indicios sospechosos.

La combinación de tecnologías de servidor, directorios regionales, parámetros de idioma, puntos de acceso que generan tokens y estructuras de aplicación recurrentes puede ayudar a detectar infraestructuras relacionadas incluso cuando cambian los dominios visibles.

Los investigadores no han podido atribuir de forma concluyente la actividad a un kit de phishing, proveedor, operador o grupo de ciberdelincuentes concreto. Los indicios apuntan a un conjunto de herramientas o una plataforma compartida, pero sería necesario obtener más pruebas para establecer una atribución específica.

“Esta investigación demuestra que una página aparentemente inactiva no siempre es una página inofensiva. Los ciberdelincuentes pueden ocultar campañas de phishing tras mensajes de error y activarlas únicamente cuando se cumplen determinadas condiciones, lo que dificulta su detección mediante comprobaciones convencionales. Para identificar estas amenazas, los equipos de seguridad deben ir más allá del dominio visible y analizar los patrones técnicos, las rutas de acceso y los comportamientos que permiten relacionar infraestructuras aparentemente distintas”, señalan los investigadores de Check Point Exposure Management.